Identity assertions

Organisaatio suojaa julkisten tai yksityisten verkkojen kautta siirrettyjä tietoja kolmansien osapuolten lukemiselta tai manipuloinnilta:

• tunnistanut ja dokumentoinut tiedonsiirtoon käytettävät verkkopalvelut.
• Määrittänyt verkkopalvelujen käyttöä koskevat käytännöt ja menettelyt luokitusvaatimusten mukaisesti.
• Toteuttanut toimenpiteitä, joilla suojataan tosiasiallisesti siirrettyjä tietoja luvattomalta käytöltä.

Organisaatio määrittelee ja ottaa käyttöön kirjautumistietojen ja identiteettiväitteiden suojauksen, kuten:

• Suojaa kirjautumistiedot ja identiteettiväittämät, mukaan lukien todennus- ja käyttäjätiedot, siirron aikana käyttämällä vahvoja salausmenetelmiä, kuten TLS:ää.
• Identiteettiväittämät ja kirjautumistiedot lepotilassa suojataan salausmenetelmillä tietokantoihin tai tunnistautumisjärjestelmiin tallennettujen tietojen suojaamiseksi.
• Digitaalisten allekirjoitusten käyttö ja niiden validointi kirjautumis- ja identiteettiväittämien eheyden ja aitouden varmistamiseksi kaikissa ympäristöissä, erityisesti SSO- ja liittojärjestelmissä.
• noudatetaan standardeihin perustuvia lähestymistapoja, kuten SAML, OAuth ja OpenID Connect, identiteettiväittämien luomisessa, suojaamisessa ja todentamisessa kaikissa organisaatiokonteksteissa ja ympäristöissä.

Organisaatio todentaa käyttäjien identiteetin ja yhdistää ne käyttäjätietoihin. Nämä tulisi myös vahvistaa aina ennen kanssakäymistä.

Identiteetin todentaminen täytyy suorittaa ennalta kirjoitettujen ja hyväksyttyjen sääntöjen mukaisesti.